CVE-2024-24787 (CVSS 9.8): Go Vulnerability Could Lead to Code Execution
2024/05/08 SecurityOnline — シンプルで効率的なソフトウェア開発を実現する Go プログラミング言語で、最近になって発見された２つの深刻な脆弱性に対処する、セキュリティ・アドバイザリが発表された。Go 環境で確認されたのは、DNS 操作における任意のコード実行 CVE-2024-24787 と、無限ループ CVE-2024-24788 の脆弱性である。
Continue reading “Go 環境の脆弱性 CVE-2024-24787／24788 が FIX：任意のコード実行にいたる可能性”CVE-2024-34346: Deno Vulnerability Allows Privilege Elevation
2024/05/08 SecurityOnline — セキュリティに特化したアーキテクチャで知られる、人気の JavaScript／TypeScript／WebAssembly ランタイムである Deno を使用している、開発者およびシステム管理者は、先日のアップデートで対処された、深刻な脆弱性に注意する必要がある。この脆弱性 CVE-2024-34346 (CVSS：8.5) は、特権ファイルの誤操作による権限昇格を可能にするため、重大なリスクをもたらす。
Continue reading “Deno の脆弱性 CVE-2024-34346 が FIX：不適切なパーミッションによる権限昇格”RSAC: Three Strategies to Boost Open-Source Security
2024/05/08 InfoSecurity — OSS におけるセキュリティ強化は、この種のコミュニティが非公式かつユビキタスであるため、政府にとって重要な課題となっている。ソフトウェア全般にわたって Security-by-Design を推進し、脆弱性の悪用やサプライチェーン・インシデントを減らすという米国政府の取り組みにおいて、OSS は極めて重要な要素になっている。RSA Conference 2024 が、政府関係者と OSS の関係者たちが、このユニークなエコシステムで Security-by-Design の原則を推進する方法について、議論する機会を提供した。
Continue reading “OSS セキュリティを加速：レギュレーション整備／Security-by-Design／AI の活用 – RSA Con”New BIG-IP Next Central Manager bugs allow device takeover
2024/05/08 BleepingComputer — F5 の BIG-IP Next Central Manager に存在する、２件の脆弱性が修正された。この脆弱性の悪用に成功した攻撃者は、管理者権限を取得し、管理対象資産に不正な隠しアカウントを作成できるという。管理者は Next Central Manager を使用することによって、統合管理ユーザー・インターフェイスを介して、オンプレミス／クラウドの BIG-IP Next インスタンス／サービスを制御できるようになる。
Continue reading “F5 BIG-IP の脆弱性 CVE-2024-21793：アップデートと PoC が提供された”RSAC: CISA Launches Vulnrichment Program to Address NVD Challenges
2024/05/08 InfoSecurity — 5月8日に 米 CISA (Cybersecurity and Infrastructure Security Agency) が発表したのは、”Vulnrichment” と呼ばれる新たなソフトウェア脆弱性充実化プログラムの開始である。この動きは、NIST (National Institute of Standards and Technology) が運営する、世界で最も包括的な脆弱性データベースである NVD (National Vulnerability Database) が、脆弱性情報の充実という問題に直面してから、約３ヶ月後の出来事である。NIST 自身のデータによると、今年に入ってから NIST に寄せられた 14,228件の CVE のうち、分析できたのは 4523件にしか過ぎないという。
Continue reading “CISA の Vulnrichment：NVD が残したギャップを埋める脆弱性メタデータ- RSA Con”CVE-2024-32849: Trend Micro Maximum Security Privilege Escalation Vulnerability
2024/05/08 SecurityOnline — サイバー・セキュリティ企業 Trend Micro は、Windows ユーザー向けの Maximum Security に対してセキュリティ・アップデートを提供し、深刻なローカル権限昇格の脆弱性 CVE-2024-32849 に対処した。この脆弱性の CVSS スコア 7.8 であり、その悪用に成功した攻撃者に対して、特権昇格やシステム・ファイルの操作を許す可能性があるという。
Continue reading “Trend Micro Maximum Security の脆弱性 CVE-2024-32849 が FIX：特権昇格の可能性”New ‘TunnelVision’ Technique Leaks Traffic From Any VPN System
2024/05/08 SecurityWeek — DHCP のビルトイン機能を悪用して VPN トンネルを強制的に外すという、新たな VPN バイパス・テクニックを用いる脅威アクターは、被害者のトラフィックを盗み見ることが可能になると、ペンテスト会社 Leviathan Security Group が警告している。この TunnelVision と呼ばれるテクニックは、送信するネットワーク・トラフィックをコンピュータが決定するために用いる、一連のルールである Route Table 操作に依存するものだ。それにより攻撃者は、DHCP サーバを侵害することなく、この手法を使用できるという。
Continue reading “TunnelVision という新たな VPN トンネル侵害：DHCP サーバのオプションを悪用する手法とは？”Litespeed Cache WordPress Plugin Actively Exploited In The Wild
2024/05/08 SecurityAffairs — WordPress 用 LiteSpeed Cache プラグインの深刻な脆弱性を、脅威アクターたちが積極的に悪用していると、WPScan の研究者たちが報告している。LiteSpeed Cache for WordPress (LSCWP) は、オールインワンのサイト高速化プラグインであり、独自のサーバ・レベル・キャッシュと最適化のための機能を備えている。そして、このプラグインは、500万以上のアクティブなインストール数を誇っている。
Continue reading “WordPress Litespeed Cache Plugin の脆弱性 CVE-2023-40000：積極的な悪用を観測”Veeam fixes RCE flaw in backup management platform (CVE-2024-29212)
2024/05/08 HelpNetSecurity — Veeam が顧客に対して強く促し始めたのは、Veeam Service Provider Console (VSPC) に存在する深刻度の高い脆弱性 CVE-2024-29212 へのパッチの適用である。Veeam Service Provider Console は、ユーザー企業だけではなく MSP (Managed Services Providers) などが、データ・バックアップ・オペレーションを管理／監視するために使用するクラウド・プラットフォームである。
Continue reading “Veeam VSPC の深刻な脆弱性 CVE-2024-29212 が FIX：ただちにパッチを！”
IoT OT Security News 